Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 之前，Netdata 将 2.3.1 api/v2/ilove.svg 和 api/v3/ilove.svg 端点的用户提供的 love query 参数逐字反映到生成的 SVG 文档（转义为文本元素中），且不转义 HTML 或 XML，并使用 Content-Type image/svg+xml 提供响应。攻击者可构建 URL 如 /api/v2/ilove.svg？love=<script>...</script>;当受害者导航到该中心时，注入的脚本在 Netdata 实例源的受害者浏览器中执行（反射型跨站脚本）。这些端点通过HTTP_ACL_NOCHECK和匿名访问注册，并且由于默认情况下禁用了承载令牌保护，因此无需在默认 Netdata 代理上进行身份验证即可访问这些终结点。已通过删除 ilove 端点解决此问题。（CVE-2025-71385）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

检测

Linux Distros 未修补的漏洞：CVE-2025-71385

medium Nessus 插件 ID 325073

版本 1.1